BCM aufbauen: Business Continuity Management nach BSI 200-4
Ein Business Continuity Management (BCM) sorgt dafür, dass Ihr Unternehmen nach einem Cyberangriff, einem Brand oder dem Ausfall eines Dienstleisters weiterarbeiten kann, zumindest auf einem vorher festgelegten Mindestniveau. Sie bauen es auf, indem Sie zeitkritische Geschäftsprozesse ermitteln, festlegen, wie lange diese ausfallen dürfen, Notfallpläne erstellen und regelmäßig üben. Die anerkannte Anleitung dafür ist der BSI-Standard 200-4. Er bietet drei Stufen, damit auch kleine und mittlere Unternehmen mit überschaubarem Aufwand einsteigen können.
Ransomware legt heute nicht nur die IT lahm, sondern Produktion, Auftragsannahme und Abrechnung gleich mit. Die Frage ist deshalb nicht, ob ein Notfall eintritt, sondern ob Sie dann wissen, was zu tun ist.
Warum jedes Unternehmen ein BCM braucht
Unternehmen hängen heute stärker denn je an ihrer IT, an Lieferketten und an Dienstleistern. Gleichzeitig sind Puffer durch Effizienzdruck kleiner geworden. Der BSI-Standard 200-4 nennt neben Extremwetter ausdrücklich Cyberangriffe und Ransomware als Gründe, warum Notfallvorsorge wichtiger geworden ist.
Ein BCM bringt Ihnen:
- Überlebensfähigkeit: Zeitkritische Prozesse laufen im Notfall weiter oder sind in einer festgelegten Zeit wieder verfügbar.
- Handlungsfähigkeit: Im Ernstfall weiß jeder, wer entscheidet, wer informiert wird und welcher Plan gilt.
- Transparenz: Die Analyse zeigt Abhängigkeiten und Schwachstellen, die auch im Normalbetrieb Geld kosten, etwa einzelne Personen oder Systeme, ohne die nichts läuft.
- Vertrauen: Kunden, Versicherer und Geschäftspartner fragen zunehmend, wie Sie einen Ausfall bewältigen.
Auch regulatorisch ist das Thema gesetzt: Unternehmen unter NIS2 müssen nach § 30 Abs. 2 Nr. 3 BSIG die Aufrechterhaltung des Betriebs regeln, mit Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. ISO 27001 enthält mit den Controls A.5.29 und A.5.30 Anforderungen an Informationssicherheit bei Störungen und an die IKT-Bereitschaft für Business Continuity. Ein BCM nach BSI-Standard 200-4 deckt diese Anforderungen strukturiert ab, ist aber auch ohne gesetzliche Pflicht sinnvoll.
Eine Cyberversicherung ersetzt kein BCM. Viele Cyberversicherungen schließen Schäden durch Krieg und staatliche Cyberangriffe aus. Die unverbindlichen Musterbedingungen des GDV (AVB Cyber, Stand Februar 2024, Ziffer A1-17.2) sehen einen solchen Ausschluss vor, bei staatlichen Angriffen für den Fall, dass dadurch auch kritische Infrastrukturen ausfallen oder beeinträchtigt werden. Gerade bei großflächigen Angriffen kann der Versicherungsschutz also entfallen. Dann zählt, ob Ihr Unternehmen selbst handlungsfähig bleibt.
Störung, Notfall, Krise: die Begriffe
Der Standard unterscheidet drei Stufen. Die Abgrenzung entscheidet, wann Ihr Notfallmodus anläuft.
| Begriff | Bedeutung | Wer bewältigt? |
|---|---|---|
| Störung | Prozesse oder Ressourcen stehen nicht wie vorgesehen zur Verfügung, lassen sich aber im Normalbetrieb beheben | die normale Organisation |
| Notfall | mindestens ein zeitkritischer Prozess fällt aus und lässt sich im Normalbetrieb nicht innerhalb der maximal tolerierbaren Ausfallzeit wiederherstellen; Pläne liegen vor oder lassen sich anpassen | eine besondere Aufbauorganisation (BAO) mit Stab |
| Krise | erhebliches Schadensereignis, für das keine passenden Pläne vorliegen oder die vorhandenen nicht greifen | die BAO, situativ |
Ein Notfall kann schon ausgerufen werden, wenn die Unterbrechung droht. Und: Wichtig ist nicht dasselbe wie zeitkritisch. Zeitkritisch ist ein Prozess nur, wenn sein Ausfall innerhalb einer bestimmten Zeit einen nicht tragbaren Schaden verursacht.
BSI-Standard 200-4 und ISO 22301
Der BSI-Standard 200-4 (Version 1.0, Mai 2023) ist die deutsche Praxisanleitung für Business Continuity Management. Er ersetzt den früheren BSI-Standard 100-4 zum Notfallmanagement. Der Standard setzt die internationale Norm ISO 22301:2019 praxisnah um. Wer die höchste Stufe vollständig umsetzt, erfüllt die Anforderungen der ISO 22301 und kann sich zertifizieren lassen.
Ein bestehendes ISMS ist keine Voraussetzung. Wer bereits ein ISMS nach ISO 27001 betreibt, kann aber auf Geltungsbereich, Risikomanagement und Dokumentenlenkung aufbauen.
Das Stufenmodell: Reaktiv, Aufbau oder Standard?
Das Stufenmodell (Kapitel 2.6) ist die wichtigste Neuerung des Standards. Es unterscheidet zwei Dimensionen: wie vollständig die Methodik angewendet wird und wie viele Geschäftsprozesse betrachtet werden.
| Reaktiv-BCMS | Aufbau-BCMS | Standard-BCMS | |
|---|---|---|---|
| Ziel | schnell auf Notfälle reagieren können | Schritt für Schritt vollständig absichern | alle Geschäftsprozesse im Geltungsbereich absichern |
| Methodik | vereinfacht | vollständig | vollständig |
| Prozessumfang | ausgewählte zeitkritische Prozesse | die zeitkritischsten Prozesse zuerst, Umfang wächst je Zyklus | vollständig |
| Aufwand | gering, vorhandene Mittel und kleine Investitionen | mittel | hoch |
| ISO 22301 | nein | nein | konform, zertifizierungsfähig |
| Geeignet für | Einstieg ohne Vorerfahrung, wenn keine regulatorischen Anforderungen dagegensprechen | Unternehmen mit Erfahrung in Managementsystemen oder Teilerfahrung im Krisenmanagement | regulierte Unternehmen und Unternehmen mit etabliertem BCMS |
Reaktiv-BCMS: Die Einstiegsstufe. Sie konzentriert sich darauf, im Notfall handlungsfähig zu sein: Stab, Alarmierung und einfache Geschäftsfortführungspläne für die wichtigsten Prozesse. Vieles bleibt bewusst weg, etwa Risikoanalyse, Kontinuitätsstrategien und Wiederanlaufpläne. Der Standard sieht vor, nach einem Durchlauf in eine höhere Stufe zu wechseln.
Aufbau-BCMS: Die volle Methodik, aber zunächst nur für einen Teil der Prozesse. Ein Vorfilter wählt die zeitkritischsten aus, der Umfang wächst mit jedem Durchlauf. Der Standard beschreibt diese Stufe als sehr gute Balance aus Aufwand und Nutzen.
Standard-BCMS: Alle Geschäftsprozesse im Geltungsbereich werden analysiert und abgesichert. Laut Standard sollte jede Institution diese Stufe als Ziel haben.
Unsere Empfehlung für den Mittelstand: Wer bei null startet und keine Regulierung im Rücken hat, beginnt mit dem Reaktiv-BCMS und ist damit schnell notfallfähig. Unternehmen mit ISO 27001 oder anderer Managementsystem-Erfahrung steigen direkt mit dem Aufbau-BCMS ein. Wer unter NIS2 fällt oder eine Zertifizierung anstrebt, plant das Standard-BCMS als Ziel. Den Weg dorthin legt die Geschäftsleitung in einer Roadmap fest.
BCM aufbauen in sechs Schritten
Der Standard folgt dem PDCA-Zyklus (planen, umsetzen, prüfen, verbessern). Für die Praxis lassen sich die Kapitel 3 bis 12 zu sechs Schritten bündeln.
1. Leitung einbinden und Rahmen festlegen
Die Geschäftsleitung übernimmt die Verantwortung, legt Ziele, Stufe und Geltungsbereich fest und benennt eine oder einen BC-Beauftragten. Sie bestimmt auch, für welchen Zeitraum vorgesorgt wird. Laut Standard sind in der Praxis 14 bis 30 Tage üblich. Ergebnis ist die Leitlinie zum BCMS, das ranghöchste Dokument.
Wie beim ISMS gilt: Den Geltungsbereich gleich zu Beginn sauber festlegen. Welche Standorte, Organisationseinheiten und Prozesse gehören dazu, welche Schnittstellen zu Dienstleistern gibt es? Ein unscharfer Geltungsbereich macht jede spätere Analyse angreifbar.
2. Krisenfähig werden: Stab und Alarmierung
Für den Ernstfall braucht es eine besondere Aufbauorganisation (BAO): einen Stab mit Kernteam aus Leitung, IT, Personal, Gebäude und Kommunikation, klare Alarmierungs- und Eskalationswege, Sofortmaßnahmen, einen Stabsraum und Regeln für die Notfall- und Krisenkommunikation. Im Reaktiv-BCMS ist das der erste Schritt, weil er die schnellste Wirkung hat.
3. Business Impact Analyse (BIA)
Die BIA ist das Herzstück. Sie ermittelt, welche Geschäftsprozesse zeitkritisch sind, wie lange sie ausfallen dürfen, welches Notbetriebsniveau reicht und welche Ressourcen sie brauchen: Personal, IT, Gebäude, Dienstleister, Informationen. Betrachtet werden die Auswirkungen eines Ausfalls im schlimmsten Fall, nicht die Ursachen. Im Reaktiv- und Aufbau-BCMS grenzt ein BIA-Vorfilter die Prozesse vorher grob ein.
Eine BIA setzt voraus, dass Ihre Geschäftsprozesse definiert sind: Ablauf, Verantwortliche, Abhängigkeiten und benötigte Ressourcen. Nur wer seine Prozesse kennt, kann bewerten, welche davon zeitkritisch sind. Fehlt eine solche Prozessübersicht, steht die Prozessmodellierung am Anfang. Dabei unterstützen wir Sie beratend.
4. Soll-Ist-Vergleich und Risikoanalyse
Der Soll-Ist-Vergleich zeigt, ob die vorhandenen Lösungen die Vorgaben aus der BIA erreichen, zum Beispiel ob ein Server tatsächlich in der geforderten Zeit wieder läuft. Die Lücken bestätigt die Leitung. Im Aufbau- und Standard-BCMS folgt eine BCM-Risikoanalyse der Ursachen und Gefährdungen, etwa nach BSI-Standard 200-3.
5. Kontinuitätsstrategien festlegen
Für jede Ressourcenart entwickeln Sie Alternativen: Ausweicharbeitsplätze, mobiles Arbeiten, redundante Systeme, ein zweiter Lieferant, Vertretungsregeln. Bewertet werden sie nach Wiederanlaufzeit, Notbetriebsniveau, Restrisiko und Kosten. Die Leitung entscheidet, ein Umsetzungsplan folgt.
6. Notfallpläne erstellen
Das Notfallhandbuch bündelt die Pläne für den Ernstfall:
Geschäftsfortführungspläne
Wie ein Prozess im Notbetrieb weiterläuft, in der Praxis ein Plan je Organisationseinheit
Wiederanlaufpläne
Wie eine zeitkritische Ressource, etwa ein IT-System, in den Notbetrieb gebracht wird; Pflicht für alle zeitkritischen Ressourcen
Wiederherstellungspläne
Wie der Normalbetrieb zurückkehrt; laut Standard nicht zwingend gefordert, aber sinnvoll
MTPD, RTO und RPO verständlich erklärt
| Kennzahl | Bedeutung | Beispiel |
|---|---|---|
| MTPD (maximal tolerierbare Ausfallzeit) | wie lange ein Prozess ausfallen darf, bevor der Schaden nicht mehr tragbar ist | Auftragsannahme: 3 Tage |
| RTO (geforderte Wiederanlaufzeit) | Zeit vom Ausrufen des Notfalls, bis die Notlösung läuft; muss kleiner sein als die MTPD abzüglich der Zeit, die der Stab bis zum Ausrufen braucht | ERP im Notbetrieb nach 24 Stunden |
| RPO (maximal zulässiger Datenverlust) | wie viele Daten im Notfall verloren gehen dürfen, unabhängig von MTPD und RTO | höchstens 4 Stunden Buchungen |
| Notbetriebsniveau | wie leistungsfähig der Notbetrieb mindestens sein muss | 60 % der Aufträge, Priorität auf Bestandskunden |
Die Beispielwerte dienen nur der Veranschaulichung. Ihre Werte ergeben sich aus der BIA. Der Soll-Ist-Vergleich stellt ihnen die tatsächlich erreichbaren Zeiten gegenüber. Eine hohe Verfügbarkeit im Normalbetrieb, etwa 99,9 % im Jahr, sagt übrigens nichts darüber aus, wie schnell ein System nach einem Totalausfall wieder läuft.
Üben und verbessern
Ein Notfallhandbuch, das nie geübt wurde, versagt im Ernstfall. Der Standard nennt fünf Übungsarten:
| Übungsart | Inhalt |
|---|---|
| Planbesprechung | Plan am Tisch durchgehen und auf Lücken prüfen |
| Alarmierungsübung | funktioniert die Alarmierungskette? |
| Stabsübung | Zusammenarbeit und Entscheidungen im Stab |
| Stabsrahmenübung | Stab gemeinsam mit weiteren Stellen, bis hin zur Vollübung |
| Funktionstest | Maßnahmen real ausführen, etwa eine Wiederherstellung |
Alarmierungs- und Stabsübungen sieht der Standard in allen Stufen vor. Grundlage ist eine Übungsplanung über mindestens zwölf Monate. Im Aufbau- und Standard-BCMS sollte jedes Mitglied des Stabs mindestens einmal in drei Jahren an einer Übung teilnehmen. Beginnen Sie mit angekündigten, einfachen Übungen und steigern Sie die Komplexität.
Danach schließt sich der Kreis: Kennzahlen, Audits und die Bewertung durch die Leitung zeigen, wo das BCMS nachgeschärft werden muss und wann der Wechsel in die nächste Stufe ansteht.
BCM, ISMS und der BC-Beauftragte
BCM und ISMS ergänzen sich. Ein ISMS schützt Vertraulichkeit, Integrität und Verfügbarkeit im Normalbetrieb. Ein BCM greift, wenn diese Maßnahmen versagen, und sorgt für den geordneten Notbetrieb. Das IT-Notfallmanagement (IT-Service-Continuity-Management) arbeitet dem BCM zu, ist aber nicht dasselbe: Nicht jeder IT-Ausfall ist ein Notfall für das Unternehmen.
Die Verantwortung bleibt bei der Geschäftsleitung. Operativ steuert ein BC-Beauftragter (früher BCM-Beauftragter) Methode, Analysen, Pläne und Berichte. Der Standard empfiehlt, die Rolle als Stabsstelle direkt bei der Leitung und nicht in der IT-Abteilung anzusiedeln, und dafür mindestens eine halbe Stelle vorzusehen. Viele mittelständische Unternehmen haben diese Kapazität nicht und besetzen die Rolle deshalb extern.
Die Rolle kann mit der des Informationssicherheitsbeauftragten zusammenarbeiten, beide Themen überschneiden sich bei Risikoanalyse, Vorfallbehandlung und Dienstleistersteuerung. Betreiber kritischer Anlagen finden die Anforderungen an ihr BCMS im Nachweis im KRITIS-Bereich.
So unterstützt Sie die SDG
Wir begleiten Sie vom Erstgespräch bis zum geübten Notfallhandbuch. Ihre Mitwirkung brauchen wir vor allem bei der Business Impact Analyse und bei der Abstimmung der Pläne mit Fachbereichen und IT. Wie sich BCM in unsere Beratung zur Informationssicherheit einfügt, zeigt die Übersichtsseite.
- Einordnung und Stufenwahl: kostenfreies Erstgespräch und Gap-Analyse, Empfehlung für Reaktiv-, Aufbau- oder Standard-BCMS mit Roadmap
- Prozessmodellierung: Sind Ihre Geschäftsprozesse noch nicht beschrieben, unterstützen wir Sie beratend dabei, sie zu erfassen und zu modellieren, als Grundlage für die BIA.
- Aufbau des BCMS nach BSI-Standard 200-4: Leitlinie, Geltungsbereich, BAO, BIA, Strategien und Notfallhandbuch
- Externer BC-Beauftragter: Wir übernehmen die Rolle durch zertifizierte BC-Beauftragte aus unserem Team.
- Übungen: Konzeption, Moderation und Auswertung von Planbesprechungen, Alarmierungs- und Stabsübungen
- Verzahnung mit ISMS und NIS2: gemeinsamer Geltungsbereich und abgestimmte Risikoanalyse mit ISO 27001 und den NIS2-Pflichten
- Schulungen für Geschäftsleitung und Stab: Schulungen
Häufige Fragen zum Business Continuity Management
Was ist ein BCM?
Business Continuity Management ist ein Managementsystem, mit dem ein Unternehmen sicherstellt, dass zeitkritische Geschäftsprozesse auch bei schweren Ereignissen wie Cyberangriffen, Bränden oder Lieferantenausfällen weiterlaufen oder in einer festgelegten Zeit wieder verfügbar sind.
Wie baue ich ein BCM auf?
Die Geschäftsleitung legt Ziele, Stufe und Geltungsbereich fest und benennt einen BC-Beauftragten. Danach folgen Stab und Alarmierung, die Business Impact Analyse, ein Soll-Ist-Vergleich, Kontinuitätsstrategien und das Notfallhandbuch. Regelmäßige Übungen und Verbesserungen schließen den Kreislauf.
Welche Stufen kennt der BSI-Standard 200-4?
Drei: Das Reaktiv-BCMS als vereinfachten Einstieg für ausgewählte zeitkritische Prozesse, das Aufbau-BCMS mit voller Methodik für einen wachsenden Prozessumfang und das Standard-BCMS für alle Prozesse im Geltungsbereich, das der ISO 22301 entspricht.
Ersetzt der BSI-Standard 200-4 den Standard 100-4?
Ja. Der BSI-Standard 200-4 ersetzt den früheren Standard 100-4 zum Notfallmanagement und führt unter anderem das Stufenmodell ein.
Brauche ich für ein BCM ein ISMS?
Nein. Ein ISMS ist keine Voraussetzung. Beide Systeme ergänzen sich aber: Das ISMS schützt den Normalbetrieb, das BCM sorgt für den Notbetrieb, wenn diese Maßnahmen versagen.
Was ist der Unterschied zwischen RTO und MTPD?
Die MTPD ist die maximal tolerierbare Ausfallzeit eines Prozesses. Die RTO ist die Zeit vom Ausrufen des Notfalls bis zur laufenden Notlösung. Sie muss kleiner sein als die MTPD, weil auch Erkennen, Alarmieren und Entscheiden Zeit brauchen.
Kann ich mich mit einem BCM nach BSI-Standard 200-4 zertifizieren lassen?
Ja, über das Standard-BCMS. Es entspricht der ISO 22301 und erreicht bei vollständiger Umsetzung die Reife für eine Zertifizierung nach dieser Norm.
Kann der BC-Beauftragte extern besetzt werden?
Ja. Der Standard empfiehlt für die Rolle mindestens eine halbe Stelle und eine Ansiedlung bei der Leitung. Gerade im Mittelstand ist eine externe Besetzung deshalb oft die wirtschaftlichere Lösung.
Quellen: BSI-Standard 200-4 Business Continuity Management, § 30 BSIG
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Beratung im Einzelfall. Die Empfehlungen zur Stufenwahl geben die fachliche Einschätzung der SDG wieder.